AI智能体通过第三方软件进入Anthropic业务系统

网络安全初创公司Cathedral称，它部署的AI智能体通过第三方软件找到进入Anthropic内部业务系统的途径。Anthropic证实，研究人员访问了少量销售、人力资源和IT系统，其中包括部分客户和合作伙伴的联系方式以及基本账户数据。

Anthropic表示，此次事件没有泄露Claude对话、源代码或模型权重。公司在发现事件当天关闭了受影响的访问入口，并在处理问题期间停用了相关第三方程序，还通知了美国联邦部门。Anthropic尚未公开说明研究人员具体查看了哪些记录，也没有透露有多少人受到影响。

Cathedral向企业和政府机构销售AI安全工具。《华盛顿邮报》查看的一份报告草稿显示，该公司研究人员称，其智能体在不到12小时内就获取了会议记录、薪资信息、招聘信息和Slack消息等资料。这些说法与Anthropic对被访问数据范围较为有限的描述并不一致；双方对事件持续时间和影响范围也有分歧。

双方争议之处

Cathedral称，此次事件持续不到12小时。Anthropic则表示，整个行动持续了数天：该公司红队成员Logan Graham称，研究人员先花了数天探测Anthropic的系统，之后才转向第三方软件。Anthropic称，Cathedral在那里发现了两个漏洞，但只报告了其中一个；另一个是Anthropic自行发现并修复的。

Anthropic还称，Cathedral的行为违反了其漏洞赏金计划的规则。该计划会向报告安全漏洞的研究人员支付报酬或予以认可。Graham表示，针对第三方服务提供商并提取数据，超出了该计划“安全港”保护的范围。Cathedral则坚持称，其做法符合常规安全研究规范。Graham对发现这些漏洞表示欢迎，但以事件敏感为由，不愿进一步说明访问了哪些内容。

最广泛的说法仍存在争议。OpenAI前员工Will Depue称，他认为可靠的消息人士告诉他，Cathedral曾获得Anthropic Slack工作区的完整管理员权限，能够读取所有消息，还能以任何用户身份登录。Graham表示，Depue的消息来源有误。Anthropic尚未公开提供足以消除分歧的详细说明，因此不应将这些说法视为已确认的事实。

事件缘起

据称，入侵入口并非Claude本身，而是连接到Anthropic的外部销售和行政管理软件。这一区别很重要：Anthropic称，其AI对话和模型资产未受影响，但此次事件仍导致部分业务系统和信息暴露。AI公司Cognition的安全高管Alex Stamos告诉《华盛顿邮报》，集成式第三方应用是整个行业面临的重大问题，Anthropic本可以更好地保护其外部服务。

这起事件也显示，安全测试工具能够被用于快速发现弱点。Graham称，攻击者已经在持续运行AI智能体、针对外部依赖项；即便是远不如最新模型先进的系统，也可能有能力胜任这类任务。这是他的判断，并不能证明所有AI智能体都能侵入企业网络。Cathedral所描述的是一次具体行动，其中研究人员在相连的业务软件中发现了漏洞。

接下来会怎样

Anthropic称，在问题解决前，公司停用了受影响的第三方程序，并修复了自行发现的漏洞。公司尚未公布Cathedral访问的全部记录，双方对事件的不同描述也仍未得到厘清。The Decoder报道，Graham提出的应对方案包括持续进行内部渗透测试——经授权尝试发现系统弱点——以及采用形式化验证方法重建软件，以检查软件是否遵循既定规则。

对其他公司而言，实际教训是：不仅要检查自家产品的安全性，也要审视与内部系统相连的外部服务。但目前披露的信息无法说明，Cathedral的发现是否指向某些供应商共有的漏洞，还是Anthropic特有的配置问题；也无法证明除联系信息之外的客户数据遭到访问。